Diese Übersetzung dient ausschließlich Ihrer Information. Bei Widersprüchen ist die englische Fassung maßgeblich, soweit zwingendes Recht nichts anderes verlangt.
Diese Auftragsverarbeitungsvereinbarung gilt automatisch, wenn Sie CustomerEagle nutzen, um personenbezogene Daten im Auftrag Ihrer eigenen Kunden zu verarbeiten, und ist Bestandteil Ihrer Vereinbarung mit uns. Benötigt Ihre Organisation individuelle Auftragsverarbeitungsbedingungen, kontaktieren Sie uns unter [email protected].
Diese Auftragsverarbeitungsvereinbarung ("AVV") ist Bestandteil des Vertrags zwischen dem Kunden, der CustomerEagle nutzt ("Kunde"), und CustomerEagle über die Bereitstellung des CustomerEagle-Dienstes ("Dienst"). Sie regelt die Verarbeitung personenbezogener Daten, die CustomerEagle im Auftrag des Kunden nach Artikel 28 der Datenschutz-Grundverordnung (DSGVO) und der UK GDPR durchführt.
Bei Widersprüchen zwischen dieser AVV und dem übrigen Vertrag zum Thema Verarbeitung personenbezogener Daten geht diese AVV vor.
Parteien und Rollen
Für personenbezogene Daten, die CustomerEagle zur Erbringung des Dienstes verarbeitet, handelt der Kunde als Verantwortlicher und CustomerEagle als Auftragsverarbeiter. Ist der Kunde selbst Auftragsverarbeiter für einen anderen Verantwortlichen (z. B. seinen eigenen Kunden), handelt CustomerEagle als Unterauftragsverarbeiter und diese AVV gilt entsprechend.
CustomerEagle wird von RSG Digital (KvK 42085647) betrieben. Fragen zu dieser AVV können über unsere Kontaktseite oder an [email protected] gerichtet werden.
Gegenstand und Dauer
Gegenstand der Verarbeitung ist die Bereitstellung des Dienstes: KI-gestützter Kundensupport über ein Chat-Widget, ein Help-Center, E-Mail- und Messaging-Kanäle, einen Agenten-Posteingang mit KI-Copilot sowie verbundene Integrationen. Die Verarbeitung dauert für die Laufzeit des Vertrags an und wird nur so lange fortgesetzt, wie es zur Erbringung des Dienstes erforderlich ist, zuzüglich eines begrenzten Zeitraums, der zur Rückgabe oder Löschung personenbezogener Daten gemäß dem Abschnitt Rückgabe und Löschung unten benötigt wird, oder soweit eine Aufbewahrung gesetzlich vorgeschrieben ist.
Art und Zweck der Verarbeitung
CustomerEagle verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung und Unterstützung des Dienstes nach den dokumentierten Weisungen des Kunden. Dazu gehören:
- Das Empfangen und Speichern von Gesprächen zwischen den Besuchern oder Endkunden des Kunden und dem Kunden über Widget, Help-Center, E-Mail- und Messaging-Kanäle.
- Das Erzeugen KI-gestützter Antworten und Antwortentwürfe auf Grundlage der Wissensdatenbank des Kunden sowie das Klassifizieren und Weiterleiten von Nachrichten.
- Das Durchführen von Bestell- und Kontoabfragen, wenn der Kunde eine Commerce-Integration verbindet (z. B. Shopify oder WooCommerce). Bevor Bestelldaten offengelegt werden, muss der Besucher die zur Bestellung gehörende E-Mail-Adresse und Bestellnummer angeben (eine E-Mail-Abgleichsprüfung); der Kunde kann zusätzlich einen an diese E-Mail-Adresse gesendeten Einmalcode aktivieren, und auf Shopify-Storefronts kann die verifizierte Sitzung eines angemeldeten Kunden verwendet werden.
- Das Hosten der Wissensdatenbank und der Help-Center-Inhalte des Kunden, die zur Beantwortung von Fragen verwendet werden.
- Das Versenden transaktionaler Kommunikation (z. B. E-Mail-Antworten) im Namen des Kunden.
- Die Bereitstellung von Analysen, Berichten, Sicherheit und Support in Bezug auf den Dienst.
Kategorien betroffener Personen
- Besucher und Endkunden des Kunden, die ihn über CustomerEagle kontaktieren.
- Autorisierte Nutzer des Workspace des Kunden (Inhaber, Administratoren und Agents).
- Alle sonstigen Personen, deren personenbezogene Daten in Gesprächen, Wissensdatenbank-Inhalten oder verbundenen Datensätzen erscheinen, die der Kunde über den Dienst verarbeitet.
Kategorien personenbezogener Daten
- Kontakt- und Identitätsdaten von Besuchern und Kunden — Name, E-Mail-Adresse, Telefonnummer und ähnliche von ihnen bereitgestellte Kennungen.
- Gesprächsinhalte — Chat-, E-Mail- und Nachrichteninhalte, Support-Tickets, Anhänge und deren Metadaten.
- Bestell- und Kontometadaten aus verbundenen Integrationen — Bestellnummern, Status, Fulfilment- und Versanddetails sowie Shopify- (oder andere Commerce-) Kundenkennungen.
- Workspace-Nutzerdaten — Kontonamen, E-Mail-Adressen und Authentifizierungsdaten der Agents und Administratoren des Kunden.
- Technische Daten — IP-Adresse, Geräte- und Browserinformationen sowie Sitzungskennungen, die zum Betrieb und zur Absicherung des Dienstes verarbeitet werden.
Der Kunde darf den Dienst nicht zur Verarbeitung besonderer Kategorien personenbezogener Daten (Artikel 9 DSGVO) nutzen, sofern dies nicht ausdrücklich schriftlich vereinbart ist, und bleibt für die von ihm oder seinen Endkunden übermittelten Inhalte verantwortlich.
Verarbeitung nach dokumentierten Weisungen
CustomerEagle verarbeitet personenbezogene Daten nur nach den dokumentierten Weisungen des Kunden, auch in Bezug auf internationale Datenübermittlungen, es sei denn, das Unions- oder Mitgliedstaatenrecht, dem CustomerEagle unterliegt, schreibt etwas anderes vor; in diesem Fall teilt CustomerEagle dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Der Vertrag, die vom Kunden gewählten Konfigurationsoptionen des Dienstes und diese AVV stellen die vollständigen und endgültigen dokumentierten Weisungen des Kunden dar. CustomerEagle informiert den Kunden, wenn eine Weisung nach seiner Auffassung gegen das Datenschutzrecht verstößt.
Vertraulichkeit
CustomerEagle stellt sicher, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff auf personenbezogene Daten ist auf Personal beschränkt, das ihn zur Erbringung des Dienstes benötigt.
Sicherheitsmaßnahmen
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung ergreift CustomerEagle geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, darunter:
- Verschlüsselung bei der Übertragung — TLS für Daten, die zwischen Clients, dem Dienst und Integrationen übertragen werden.
- Verschlüsselung im Ruhezustand — AES-256-GCM-Verschlüsselung für gespeicherte Zugangsdaten und sensible personenbezogene Daten.
- Mandantentrennung — eine mandantenfähige Architektur mit mandantenbezogener Scoping und PostgreSQL Row-Level-Security als zusätzliche Schutzschicht, um die Daten jedes Kunden getrennt zu halten.
- Zugriffskontrolle — rollenbasierte Zugriffskontrolle (RBAC) für Mitarbeiter und verpflichtende Multi-Faktor-Authentifizierung (MFA) für Plattform-Mitarbeiterkonten.
- Audit-Protokollierung — Protokollierung sicherheitsrelevanter und administrativer Ereignisse zur Unterstützung von Überwachung und Untersuchung.
- Widerstandsfähigkeit und Wiederherstellung — verschlüsselte Backups und Maßnahmen zur Wiederherstellung der Verfügbarkeit und des Zugangs zu personenbezogenen Daten nach einem Vorfall.
- Überprüfung — Verfahren zur Bewertung und Verbesserung der Wirksamkeit dieser Maßnahmen.
CustomerEagle kann seine Sicherheitsmaßnahmen im Laufe der Zeit aktualisieren, sofern das Schutzniveau nicht wesentlich verringert wird.
Unterauftragsverarbeiter
Der Kunde erteilt CustomerEagle eine allgemeine Genehmigung, Unterauftragsverarbeiter zur Erbringung des Dienstes einzusetzen. CustomerEagle erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die im Wesentlichen nicht weniger schützend sind als die dieser AVV, und bleibt für die Erfüllung dieser Pflichten durch seine Unterauftragsverarbeiter verantwortlich.
Dienst-Unterauftragsverarbeiter — Anbieter, die CustomerEagle einsetzt, um personenbezogene Daten des Kunden in dessen Auftrag zu verarbeiten.
| Unterauftragsverarbeiter | Zweck | Verarbeitungsort |
|---|---|---|
| Railway | Anwendungs- und Datenbank-Hosting | EU / USA |
| Cloudflare | Content-Auslieferung, Objektspeicher und benutzerdefinierte Domains | Globale Edge (EU / USA) |
| Resend | Zustellung transaktionaler E-Mails | EU / USA |
| OpenAI (OpenAI Ireland Ltd) | KI-generierte Antworten und Entwürfe (aktivierte Funktionen) | USA, unter den EU-Standardvertragsklauseln |
| Anthropic (Anthropic Ireland, Limited) | KI-generierte Antworten und Entwürfe (aktivierte Funktionen) | USA, unter den EU-Standardvertragsklauseln |
| GlitchTip / Sentry-kompatibles Monitoring | Fehler- und Leistungsüberwachung, sofern konfiguriert | EU / USA |
KI-Anbieter — Übermittlungsgarantien und Datenminimierung. Bevor Inhalte an einen KI-Anbieter gesendet werden, wendet CustomerEagle eine automatische Maskierung an, die direkt identifizierende personenbezogene Daten (Namen, E-Mail-Adressen, Telefonnummern und vergleichbare Kennungen) aus den Modelleingaben entfernt. Übermittlungen an OpenAI und Anthropic sind durch die EU-Standardvertragsklauseln abgedeckt, die im Data Processing Addendum des jeweiligen Anbieters enthalten sind; keiner der beiden Anbieter verwendet API-Daten zum Training von Modellen. Kunden mit besonderen Anforderungen an KI-Anbieter können sich an [email protected] wenden.
Vom Kunden gesteuerte Integrationen — Dienste, die der Kunde eigenständig verbindet und steuert. Dies sind keine von CustomerEagle eingesetzten Unterauftragsverarbeiter; die eigene Vereinbarung des Kunden mit dem jeweiligen Anbieter regelt diese Verarbeitung.
| Dienst | Zweck | Verarbeitungsort |
|---|---|---|
| Shopify | Commerce-Datenabfragen, wenn der Kunde Shopify verbindet | EU / USA |
Weitere Integrationen, die der Kunde verbindet — beispielsweise WooCommerce-Shops oder Meta-Kanäle wie WhatsApp, Messenger und Instagram — werden ebenfalls vom Kunden gesteuert und durch die eigene Vereinbarung des Kunden mit dem jeweiligen Anbieter geregelt.
Verantwortlicher-seitige Anbieter von CustomerEagle — Anbieter, die CustomerEagle für die eigene Kontoverwaltung, Abrechnung und einwilligungsbasierte Analyse einsetzt und bei denen CustomerEagle als eigenständig Verantwortlicher (wie in der Datenschutzerklärung beschrieben) und nicht als Auftragsverarbeiter des Kunden handelt.
| Anbieter | Zweck | Verarbeitungsort |
|---|---|---|
| Stripe | Abrechnung und Zahlungsabwicklung für die Kundenbeziehung | EU / USA |
| PostHog EU Cloud | Einwilligungsbasierte Produkt- und Website-Analyse | EU |
| Google Analytics 4 (Google Ireland Limited) | Analyse öffentlicher Seiten nur mit Analyse-Einwilligung; Klick-Attribution nur mit gesonderter Werbe-Einwilligung | EU / USA |
| Google Ads (Google Ireland Limited) | Messung der Werbeleistung; Remarketing-Zielgruppen nur mit gesonderter Werbe-Einwilligung | EU / USA |
| Microsoft Clarity (Microsoft Ireland Operations Limited) | Einwilligungsbasierte Heatmaps und Sitzungswiedergabe auf öffentlichen Seiten | EU / USA |
Diese verantwortlicher-seitigen Anbieter verarbeiten Daten über Besucher der eigenen öffentlichen Website von CustomerEagle und über die eigene Kontoverwaltung des Kunden. Ihnen wird kein Zugriff auf Inhalte des Kunden oder Daten der Endkunden gewährt, und die in der Datenschutzerklärung beschriebenen Werbeklick-Kennungen werden niemals aus Daten abgeleitet, die im Auftrag des Kunden verarbeitet werden, oder mit ihnen verknüpft.
CustomerEagle benachrichtigt den Kunden mit einer Vorankündigung von mindestens 30 Tagen über jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters und gibt dem Kunden die Möglichkeit, aus berechtigten Datenschutzgründen Einspruch zu erheben. Erhebt der Kunde begründeten Einspruch und können die Parteien das Anliegen nicht ausräumen, kann der Kunde den betroffenen Teil des Dienstes kündigen.
Internationale Datenübermittlungen
Umfasst die Verarbeitung eine Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums oder des Vereinigten Königreichs in ein Land ohne Angemessenheitsbeschluss, stützt sich CustomerEagle auf einen geeigneten Übermittlungsmechanismus — vorrangig die Standardvertragsklauseln (SCC) der Europäischen Kommission und das UK International Data Transfer Addendum — zusammen mit etwaigen zusätzlichen Maßnahmen, die zum Schutz der Daten erforderlich sind. Für KI-Anbieter gelten die anbieterspezifischen Garantien und Datenminimierungsmaßnahmen, die im Abschnitt Unterauftragsverarbeiter beschrieben sind; bietet ein Anbieter keinen Übermittlungsmechanismus nach Kapitel V an, übermittelt CustomerEagle keine unmaskierten personenbezogenen Daten an diesen Anbieter.
Unterstützung des Kunden
Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt CustomerEagle den Kunden, soweit möglich, mit geeigneten technischen und organisatorischen Maßnahmen bei:
- Der Beantwortung von Anfragen betroffener Personen — der Dienst bietet Selbstbedienungs-Export- und Löschfunktionen, und CustomerEagle unterstützt bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit oder Widerspruch gegen die Verarbeitung personenbezogener Daten (Artikel 12–23 DSGVO).
- Sicherheit, Meldung von Verletzungen und Folgenabschätzungen — der Unterstützung des Kunden bei der Einhaltung seiner Pflichten nach den Artikeln 32 bis 36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultation.
Meldung von Verletzungen des Schutzes personenbezogener Daten
CustomerEagle benachrichtigt den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die personenbezogenen Daten des Kunden betrifft, und stellt, soweit praktikabel, eine erste Benachrichtigung innerhalb von 24 Stunden nach Bekanntwerden bereit. Informationen, die zum Zeitpunkt der ersten Benachrichtigung nicht verfügbar sind, können ohne unangemessene weitere Verzögerung schrittweise bereitgestellt werden. Die Meldung beschreibt, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die zur Behebung ergriffenen oder vorgeschlagenen Maßnahmen und benennt eine Anlaufstelle für weitere Informationen ([email protected]). CustomerEagle leistet angemessene Zusammenarbeit, um dem Kunden bei der Erfüllung seiner eigenen Meldepflichten zu helfen, einschließlich fortlaufender Aktualisierungen im Verlauf der Untersuchung.
Prüfungsrechte
CustomerEagle stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind, und ermöglicht und unterstützt Überprüfungen — einschließlich Inspektionen —, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden. Zum Schutz der Sicherheit und Vertraulichkeit anderer Kunden werden Prüfungen mit angemessener Vorankündigung, höchstens einmal jährlich (sofern nicht von einer Aufsichtsbehörde verlangt oder nach einer Verletzung), während der Geschäftszeiten und unter Wahrung der Vertraulichkeit durchgeführt. CustomerEagle kann Prüfanfragen durch Bereitstellung relevanter Zertifizierungen, Berichte oder Dokumentationen erfüllen, soweit verfügbar.
Rückgabe und Löschung
Bei Beendigung des Dienstes und nach Wahl des Kunden löscht oder retourniert CustomerEagle die im Auftrag des Kunden verarbeiteten personenbezogenen Daten und löscht vorhandene Kopien, es sei denn, das Unions- oder Mitgliedstaatenrecht verlangt eine weitere Speicherung. Personenbezogene Daten werden nach Beendigung umgehend aus den aktiven Systemen entfernt; verbleibende Kopien in verschlüsselten Backups werden im gewöhnlichen Backup-Zyklus gelöscht, in der Regel innerhalb von 90 Tagen. Der Kunde kann Daten auch vor Beendigung mit den Exportfunktionen des Dienstes exportieren.
Haftung und Änderungen
Die Haftung jeder Partei nach dieser AVV unterliegt den im Vertrag festgelegten Haftungsbeschränkungen und -ausschlüssen. CustomerEagle kann diese AVV bei Bedarf aktualisieren, um Änderungen der Gesetzgebung, der Unterauftragsverarbeiter oder des Dienstes widerzuspiegeln, und wird wesentliche Änderungen wie im Vertrag beschrieben ankündigen.
Kontakt
Team Datenschutz / Privatsphäre E-Mail: [email protected] CustomerEagle · RSG Digital · KvK 42085647